浅议中国企业如何成功建设内部控制体系(二)

3.2企业内部控制的相关规范制度亟待整合

由于管理体制方面的原因，我国有关内部控制的指导原则、指引、规范出自不同的政府部门或机构，如《内部会计控制规范》、《中央企业全面风险管理指引》、《证券公司内部控制指引》、《证券投资基金管理公司内部控制指导意见》、《商业银行内部控制指引》、《上市公司内部控制指引》等一系列规范性文件分别出自财政部、国资委、中国证监会、中国人民银行、深圳证券交易所、上海证券交易所等部门。政出多门造成这些规范形式多样、标准不一，对内部控制概念的界定、控制目标的确立、应遵循的控制原则、内部控制要素的构成等重要内容均有不同的解释和规定。这既增大了内部控制规范的制定成本，又增大了各内部控制规范之间的协调成本。而且，由于没有专门机构统一负责内部控制规范建设，已经制定的内部控制规范也无法在全国范围内迅速而有效地推进，失去了其应有的价值。

3.3忽视内部控制环境建设

按照COSO的ICIF框架，控制环境是内部控制框架体系的第一要素，被视为其他控制要素的基础。按照ICIF框架的定义，内部控制环境是指一个企业的基调和氛围，对内部控制形成外部约束，并直接影响企业员工的控制意识。控制环境因素主要包括管理层的经营理念和经营风格，企业员工的道德价值观和工作胜任能力，管理当局的授权和职责分工方法，人力资源的组织与开发，董事会的关注和指导力度等。控制环境是内部控制能否生效的重要因素之一，控制环境的失效必然会直接导致内部控制的失效。由于我国企业普遍存在着大股东或关键人控制问题，内部控制环境未得到应有的重视，很多企业还未开展内部控制环境建设，如公司治理方面存在严重缺陷，管理层关键人凌驾于规章制度之上，内审部门无法肩负起监督职责等。而《证券公司内部控制指引》、《商业银行内部控制指引》、《上市公司内部控制指引》等虽然都将控制环境列为内部控制规范的要素之一，但也仅仅是对COSO的ICIF框架内容的简单移植。要使内部控制环境在内部控制体系中得到完善，并发挥内部控制环境应有的作用，还需从改进公司治理、更新管理层经营理念、加强员工职业道德教育等基础工作做起。

3.4内部控制规范体系不完善

企业风险管理框架必须建立在完善的内部控制框架基础之上，否则就谈不上风险管理体系框架的完善。美国COSO于2004年发布的《企业风险管理——整合框架》（ERM框架）文件中，专门阐述了ERM框架与COSO于1994年修订后发布的《内部控制——整合框架》（ICIF框架）之间的关系：内部控制被涵盖在企业风险管理之内，是其不可分割的一部分。企业风险管理拓展了内部控制的风险评估要素，将风险评估要素进一步细分为目标设定、事项识别、风险评估和风险对策等，比内部控制内容更广泛，更加关注风险。而且，COSO在ERM框架中声明，虽然ERM框架涵盖并拓展了ICIF框架的主体内容，但并不意味着可以替代ICIF框架，ICIF框架仍然有效，仍然是符合SOA法案规定建立内部控制框架体系的依据。我国内部控制规范尚未成完整的系统，国资委出台的《中央企业全面风险管理指引》虽然在内容上广泛吸取了国际上的最新研究成果和成熟经验，并具有一定的前瞻性，但在目前我国内部控制相对薄弱的现实环境下，其实施缺乏可依赖的坚实基础，显得有些突兀，难以获得理想的效果。

四、对内部控制的几点建议对策

4.1提高企业对内部控制的认识和理解，营造良好的内部控制氛围

要象宣传新会计准则、新税法那样，对内部控制进行广泛宣传和推介，改变目前人们普遍将内部控制看作是一项制度性建设的错误观念，使企业管理层和广大员工充分认识到内部控制的包含企业经营活动各个环节的控制过程和活动，是一项复杂的系统工程。只有提高企业管理层和员工对内部控制的认识和理解，才能形成一个良好的内部控制氛围，从而促进内部控制规范的建设和实施。

为了改变我国内部控制规范建设中各自为政的现状，建议由财政部牵头，由企业内部控制标准委员会具体负责，对现有财政部、证监会、中国人民银行、国资委、上海证券交易所、深圳证券交易所等部门和机构制定出台的内部控制方面的规范、制度、指引等进行重新梳理和整合，统一内部控制的概念、目标、要素、原则、程序、评价标准等基本内容，制定出适用范围宽泛的内部控制整体框架，作为各类企业内部控制体系建设的参照标准。各部门或机构在履行其各自管理职能时，可以对管辖范围内的企业提出内部控制建设方面的具体要求，但建设内部控制所依据的规范框架应该是统一的。

4.2改善法人治理结构，优化内部控制环境

法人治理结构在很大程度上影响着企业的健康运行和企业目标的实现，并且会对企业内部控制体系的建立与完善产生影响。企业应从完善法人治理结构入手，充分发挥股东会、董事会、监事会的职能；改善股权结构，解决我国企业股权过度集中带来的问题；完善企业内部制衡机制和内部激励机制；增强内部审计部门的独立性，充分发挥其监督评价职能。在改进法人治理结构的同时，还应加强对企业高管人员的培训，使企业管理层树立正确的经营理念和较强的风险管理意识；加强对企业员工的职业道德建设。通过这些基础性工作，优化企业内部控制环境，以保证企业内部控制制度的顺利实施。

虽然以美国为代表的西方发达国家的企业已经开始将内部控制的重点逐渐转向风险管理，但从我国目前的现状来看，建立和完善统一的内部控制规范框架仍然是我国内部控制建设的第一要务。完善的内部控制体系框架是企业实施内部控制、防范企业风险的基础，只有打下坚实的基础，才能够保证企业内部控制的顺利实施和全面风险管理的有效推进。

4.3 构建严密的组织保障,落实内部控制职责

内部控制体系的构建和实施需要相应的组织保障,即企业应成立各级内控机构,落实内控职责。一般而言,内部控制机构至少应该包括:规范的公司法人治理结构和各层级的风险管理职能部门。

规范的公司法人治理结构是促使内部控制体系有效运行,保证内部控制功能发挥的前提和基础,是实行内部控制的体系环境。各层级的风险管理职能部门应涵盖企业决策和管理者(如董事会、CEO、CFO等)、风险管理职能部门、经营系统、内部审计、外部审计等部门。由于不同企业的组织结构、经营特点、管理风格等也不同,具体设置时,风险管理的机构和职责也不同。

在大力倡导企业内部控制体系之前,中国大部分企业的内部控制体系都没有完善的制度保障,都是按照经验和习惯行事。大凡成功的企业都有一套系统、科学、严密、规范的内部控制体系。因此,要构建和实施完善的内部控制体系,必须要有体系化的制度保障。当内部控制体系构建后,企业一般应从两个方面考虑制度建设的问题。

1.固化建设期已经规定的规章制度。在构建期,企业会有许多规章制度,例如《沟通访谈管理办法》、《工作纪律管理办法》、《培训管理办法》、《文档管理办法》等,其中有许多是适用于企业长期实施阶段的。所以,在内部控制体系构建成功后,就应着手对建设期的许多规章制度进行重新审视,按照长效机制的要求对其进行修订,并将其固化,使其在今后的内部控制工作中继续发挥应有的作用。但要注意的是,在内部控制执行过程中,这些制度并非不变,需要在此基础上随着环境的变化随时对其进行评价和修订,进而有效地指导企业解决长期实施过程中出现的问题。

2.及时形成长期实施阶段的规章制度。长期实施阶段的规章制度是一个有机的体系,主要应包括:建立科学、有效的激励约束机制;建立涵盖所有业务的全面、系统、成文的政策、制度和程序;建立风险控制的责任制度;建立严格的问责制度;建立长期的检查制度;重新规定企业的培训制度;建设风险管理报告制度等。在内部控制体系构建成功后,企业必须着手对这些规章制度进行定制和完善,以保证构建的内部控制体系有效执行。

4.4形成科学的项目管理

由于内部控制体系涉及到多个学科、多个领域的知识,需要精心设计,管理好内部控制体系中的各个环节。在内部控制实践中,企业一般会把各个环节称之为一个项目进行管理。美国项目管理学会认为一个有效的专业项目管理者必须具备范围管理、人力资源管理、沟通管理、时间管理、风险管理、采购管理、费用管理、质量管理及综合管理能力。将内部控制看作一个项目进行管理,可以从系统的角度优化内部控制体系。例如通过范围管理,使内部控制覆盖公司可能遭受风险的所有层面;项目的时间管理是为了确保项目最终按时完成的一系列管理过程;人员管理的宗旨就是要使企业的所有员工(从最高层到最低层)都各得其所,各尽其才,全部朝着有利于达成企业目标的方向发展等等。

内部控制体系是靠人去执行的,再好的制度如果没有高素质的人去执行也不会产生好的效果。所以,加强对员工的培训,应是内部控制建设中的重要内容。同时,管理者还应创造适宜的工作环境、工作条件以便满足职工的尊重需求和自我实现的需要,采用适当的激励手段调动职工工作的积极性和创造性。

在内部控制体系的建设期,内部控制项目组一般会采取集中培训、会议交流、内部网页、问题解答、电话热线、信息简报等形式多样的宣传贯彻方法,使大家在思想上、组织上、行动上达成共识。进入长效机制后,培训工作仍然不能放松,因为一方面企业的经营环境在不断的变化中;另一方面,对现有流程的维护等工作也需要不断进行培训。可见培训在内部控制设计、实施和长效机制中自始至终应贯穿于企业的管理中。

参考文献

[1] 杨雄胜.内部控制理论研究新视野[J].会计研究

[2] 谢志华.内部控制、公司治理、风险管理:关系与整合[J].会计研究

[3] 贾永嘉.《索克斯法案》实施对中国在美上市公司的挑战[J].石家庄职业技术学院学报

[4] 王海峰.对萨班斯-奥克斯利法案及COSO框架下内控的思考[J].合作经济与科技

[5] [美]COSO制定发布.企业风险管理——整合框架[M].方红星,王宏译.大连:东北财经大学出版社

[6] 财政部等五部委制定.企业内部控制基本规范[M].北京:中国财政经济出版社